חוק ה-AI האירופי פוגש את MDR: מה ספקי SaMD רפואי צריכים לעשות עכשיו

חוק ה-AI האירופי נכנס לתוקף באוגוסט 2024 עם החלה מדורגת, וחובות מערכות ה-high-risk חלות מ-2 באוגוסט 2026. לספקי Software as a Medical Device רפואי, השאלה הרלוונטית היא לא "האם אנחנו צריכים תאימות?" — רוב תוכנת ה-AI הרפואית היא high-risk לפי נספח III — אלא "איך זה שכבה מעל ה-MDR או IVDR שכבר יש לנו תאימות אליו?" התשובה יותר ניואנסית ממה שההדרכה הפומבית מציעה.

זה המיפוי התפעולי שאנחנו משתמשים בו עם ספקי SaMD רפואי שמתכננים את מערך התאימות המשולב שלהם של MDR + חוק ה-AI. הוא מציג עמדה ברורה לגבי מה החפיפה חוסכת ואיפה הפערים יחשפו חוב תאימות שספקים כרגע לא מתקצבים אליו.

האינטראקציה של הסיווג שמבלבלת את רוב הספקים

מכשיר AI רפואי תחת EU MDR מסווג לפי מחלקת סיכון המכשיר הרפואי שלו (I, IIa, IIb, III) ומקבל הערכת תאימות בהתאם. אותו מכשיר תחת חוק ה-AI מסווג לפי שכבת סיכון ה-AI שלו (prohibited, high-risk, limited-risk, minimal-risk). ל-SaMD רפואי שמוסדר כמכשיר רפואי, סעיף 6 של חוק ה-AI עושה את רוב המכשירים האלה אוטומטית high-risk תחת חוק ה-AI כי הם כפופים להערכת תאימות MDR על-ידי גוף הסמכה.

זה מייצר דפוס חובה ספציפי: חובות ה-high-risk של חוק ה-AI חלות, אבל הערכת התאימות יכולה ברוב המקרים להיות משולבת עם הערכת התאימות הקיימת של MDR/IVDR במקום מבוצעת כתרגיל נפרד. אותו גוף הסמכה, ברוב המקרים, יכול להעריך את שני המשטרים יחד. זו החפיפה המבנית שרוב הספקים עדיין לא מנצלים.

השאלה לשאול היא לא "האם אנחנו צריכים הערכת תאימות נפרדת לחוק ה-AI?" היא "האם גוף ההסמכה שלנו מצויד להעריך את שני המשטרים, והאם בנינו את התיק הטכני כדי לתמוך באינטגרציה הזו?"

מה חוק ה-AI מוסיף מעבר ל-MDR

יש חמש חובות מהותיות בחוק ה-AI שאין להן שווה ערך ישיר ב-MDR, ואלה איפה שרוב הספקים יספגו עבודה נוספת.

1. ניהול סיכון לנזקים ספציפיים ל-AI (סעיף 9). תהליך ניהול הסיכון של חוק ה-AI מכסה נזקים ספציפיים למערכות AI: bias, automation bias ממפעילים אנושיים, הסתמכות יתר על פלטי AI, ירידת ביצועים תחת distribution shift. אלה ממופים על ניהול סיכון ISO 14971 אבל מרחיבים אותו. ספקים עם תהליכי 14971 בוגרים יכולים להוסיף את ההרחבות הספציפיות ל-AI. ספקים שטיפלו בסיכוני AI כמחוץ לתחולה יצטרכו להוסיף אותם.

2. נתונים וממשל נתונים (סעיף 10). דרישות ספציפיות על datasets של אימון, ולידציה, ובדיקה: provenance, רפרזנטטיביות, בחינה ל-biases, מאפיינים סטטיסטיים. ה-design controls של מכשיר רפואי (21 CFR 820.30 / ISO 13485 7.3) דורשים אימות תכנון אבל לא ברמה של ניתוח dataset ספציפי.

3. לוגינג ומעקב של החלטות AI (סעיף 12). לוגי אירועים אוטומטיים של פעולת מערכת ה-AI לאורך מחזור החיים שלה, עם דרישות שמירה. מעבר ללוגי audit סטנדרטיים של מכשיר רפואי.

4. שקיפות ופיקוח אנושי (סעיפים 13, 14). שקיפות מפורשת לפני המשתמש על יכולות ומגבלות מערכת ה-AI, פלוס הוראות פיקוח אנושי חובה. חלק מזה מכוסה בדרישות IFU ותיוג תחת MDR. חלק חדש.

5. ניטור post-market קשור למדדי ביצועי AI (סעיף 72). חוק ה-AI דורש ניטור מתמשך של ביצועי מערכת ה-AI על האוכלוסייה שהיא באמת משרתת, עם תגובה מתועדת ל-drift. MDR דורש post-market clinical follow-up. חוק ה-AI מוסיף את הממד הספציפי-ל-AI.

מערך התאימות המשולב מכסה את כל החמישה פלוס את חובות MDR הקיימות. החפיפה אמיתית אבל חלקית.

מבנה התיק הטכני שתומך בשניהם

לתיק הטכני של MDR (נספח II / III ל-non-IVD, מובנה דומה ל-IVD) יש מבנה מוגדר. לתיעוד הטכני של נספח IV של חוק ה-AI יש מבנה מוגדר משלו. הם לא זהים אבל הם ממופים זה על זה בחפיפה משמעותית.

הדפוס המבני שעובד: הרחיבו את התיק הטכני של MDR עם סעיפים מפורשים של חוק ה-AI במקום לתחזק שני קבצים מקבילים. סעיפים שכבר מטפלים בשני המשטרים (הערכה קלינית, ניהול סיכון, design controls) מקבלים cross-reference. סעיפים ספציפיים למשטר אחד הופכים לתת-סעיפים מפורשים.

ל-SaMD רפואי טיפוסי עם רכיבי AI, מבנה התיק שאנחנו ממליצים עליו:

• תיאור מכשיר ושימוש מתוכנן — סעיף יחיד, מטפל בדרישות מטרת השימוש של MDR וחוק ה-AI.
• ניהול סיכון — פריימוורק ISO 14971 מורחב עם אלמנטים מסעיף 9 של חוק ה-AI (bias, distribution shift, automation bias). קובץ סיכון יחיד, סיכונים ספציפיים-ל-AI מתויגים.
• Design controls ומחזור חיים תוכנה — מחזור חיים IEC 62304 מכסה את ציפיות תהליך-הפיתוח של שני המשטרים.
• ממשל נתונים — סעיף חדש שמטפל בסעיף 10 של חוק ה-AI. עבודה נוספת משמעותית לרוב הספקים.
• הערכת ביצועים — הערכה קלינית לפי MDR פלוס מדדי ביצועים מסעיף 15 של חוק ה-AI (דיוק, robustness, סייבר).
• תוכנית post-market — תוכנית PMS לפי MDR מורחבת עם ניטור post-market מסעיף 72 של חוק ה-AI. תוכנית יחידה, KPIs ספציפיים-ל-AI נוספו.
• סייבר — מכוסה כמו בכתבת סייבר ל-510(k). הרגולטורים האירופאים מצפים לראיות דומות באופן מהותי לאלה של ה-FDA.

המבנה הזה מייצר תיק טכני יחיד שניתן להעריך מול שני המשטרים על-ידי גוף הסמכה מצויד לעשות זאת, וזה מה שרוב גופי ההסמכה הגדולים יהיו עד שחובות ה-high-risk של חוק ה-AI חלות.

מה ספקים צריכים לעשות ב-2026

לספקי SaMD רפואי שעדיין לא מוכנים, הרצף המעשי:

עכשיו: זהו אם המכשיר שלכם הוא high-risk תחת חוק ה-AI (כמעט בוודאות כן לכל AI רפואי), ואשרו עם גוף ההסמכה שלכם את המוכנות שלהם להעריך את שני המשטרים.

60 הימים הבאים: ניתוח פערים בין התיק הטכני של MDR הקיים שלכם לבין דרישות נספח IV של חוק ה-AI. רוב הלקוחות שלנו מוצאים 5–15 פערי תיעוד ספציפיים בתרגיל הזה.

6 החודשים הבאים: בנייה של תיעוד ממשל הנתונים לפי סעיף 10. זה הפער שרוב הספקים כרגע לא מתקצבים אליו, והוא דורש עבודה שנוגעת בצוות ההנדסה במקום רק בצוות הרגולציה.

12 החודשים הבאים: הרחיבו ניטור post-market לפי סעיף 72. השנה הראשונה של נתוני post-market תחת הפריימוורק החדש תיבחן יותר בקפידה משנים מאוחרות יותר. תשתית הניטור חייבת להיות תפעולית מהשקה.

עד 2 באוגוסט 2026, חובות ה-high-risk חלות. למכשירים קיימים בשוק בתאריך הזה יש הוראות מעבר, אבל הצבות חדשות אחרי התאריך הזה מתמודדות עם החלה מלאה מיידית.

איפה אנחנו נכנסים

תחום רגולציית MedTech של פליקן-טק בונה מערכי תאימות משולבות של MDR + חוק ה-AI ל-SaMD רפואי, עובד עם גופי הסמכה שמצוידים להעריך את שני המשטרים בסקירת תיק טכני יחיד. אנחנו עובדים עם צוות הרגולציה ואישורים שלנו על הגשות ה-FDA המקבילות איפה שרלוונטי, ועם פרקטיקת פתרונות ה-AI שלנו כשעבודת הנדסת ה-AI הבסיסית צריכה לתמוך בדרישות ממשל הנתונים והערכת הביצועים שהחוק מציג.

אם אתם בתוך 9 חודשים מהגשת MDR ל-SaMD רפואי שמכיל AI והממד של חוק ה-AI עוד לא משולב בתיק הטכני, זה ה-engagement שצריך להתחיל איתו לפני שהתיק הולך לגוף ההסמכה שלכם.